无诱骗态BB84协议在不同公告结构下的性能

《Physical Review A》：Performance of the BB84 protocol without decoy states under varying announcement structures

　　

在基于相位随机化弱相干脉冲（WCP）实现的量子密钥分发（QKD）BB84协议中，诱骗态方法常被用来弥补BB84在光子数分离（PNS）攻击下的脆弱性。然而，这通常会引入额外的复杂性和对实验设备的要求。因此，本文关注的是不使用诱骗态方法的相位随机化WCP实现方案。我们利用数值安全性证明技术，考察了三种具有不同经典公告结构的QKD协议的性能，即BB84、SARG04以及无公开基选择公告（NPAB）BB84。密钥速率的计算使用了openqkd安全软件[J. Burniston et al., software openqkdsecurity, ver. 2.0.2 (2024)]。我们在渐近和有限尺寸区域中，针对有损和有噪信道，比较了三种协议的安全密钥速率。三种协议根据信道行为的不同而展现出不同的相对优势。标准BB84对误差和去极化表现出稳健性，SARG04在高损耗信道上展现出韧性，而NPAB BB84在QKD设备间的物理不对准方面显示出潜在优势。

I. 引言

在原始BB84协议[1]中，假设发送方Alice发出单光子态。然而，用当今技术无法获得真正的单光子源。在实际实现中，使用相位随机化弱相干脉冲（WCP）源，因为它们以较小的概率发射单光子信号，同时有相对较小的概率发射多光子信号。然而，WCP源的使用为窃听者打开了大门。在光子数分离（PNS）攻击[2,3]中，对手从多光子信号中窃取光子，从而泄露有关密钥的一些信息。这种信息泄露在BB84协议中最为严重，因为Alice和接收方Bob会明确公开他们的基选择。这导致多光子脉冲完全不安全，其后果是BB84的长距离性能受到严重限制。

解决此问题的一个方案是使用诱骗态方法[4–6]，即Alice在编码和发送信号之前随机决定脉冲强度。在Bob测量完所有信号后，她公开自己的强度选择。这样，对手对多光子信号的进攻可以通过估计光子数统计在传输信道中如何变化来检测。然而，诱骗态方法需要额外的硬件来根据随机序列逐轮调制强度，这会引入额外的侧信道并要求额外努力来封堵漏洞[7]。

另一种潜在方案是使用修改后的公告结构。我们利用两种这样的协议。第一种是SARG04协议[8]，其中Alice隐式地公告基编码，并要求Bob结合公告和他的检测结果来推断Alice的编码基，同时仍然使用物理BB84硬件。我们进一步提出第二种不同的协议，称为无公开基选择公告（NPAB）BB84，其中我们在密钥生成轮次中完全放弃了基筛选。

这些协议不同的基公告结构降低了PNS攻击的效率，使我们能够从多光子信号中提取密钥，而无需使用诱骗态。此外，BB84、NPAB BB84和SARG04可以使用相同的BB84硬件实现，因为它们都只需要Alice发送计算基和共轭基态，而Bob在这些基中主动测量。在本工作中，我们研究在相同设备配置下BB84、NPAB BB84和SARG04协议在有损和有噪信道中的性能，以了解公告结构对密钥速率的影响。我们的证明框架允许从多光子信号中提取密钥，我们说明了通过在分析中明确包含这些贡献，NPAB和SARG04所实现的性能提升。本文的组织如下：在第二节中，我们描述了一个通用QKD协议，并进一步详细说明了本文考察的具体协议。在第三节中，我们简要描述了用于模拟协议数学模型。在第四节中，我们详细说明了在各种模型假设下的协议性能，如变化的信道损耗、信道对准和误差率。最后，在第五节中，我们提供了一些结论性的评论。

II. 协议描述

A. 通用QKD协议描述

我们首先描述一个通用的可变长度QKD协议。

1. 信号制备

在每一轮中，Alice以概率决定所发送的信号将用于密钥生成轮次还是测试轮次。她将测试（密钥生成）轮次的位置存储在一个字符串中。然后Alice从一组个状态的集合中以相应的概率选择信号态，从中制备强度为的相位随机化WCP信号，通过量子信道发送给Bob。她将相应的标签存储在经典寄存器中。

2. 测量阶段

Bob使用正算子值测度（POVM）元素测量传入态，其中指标遍历所有可能的测量结果，并将信息存储在经典寄存器中。信号和测量阶段重复次。

3. 公告和测试阶段

Alice和Bob通过使用经过身份认证的经典信道进行公开公告来处理数据并筛选比特。Alice和Bob分别做出公开公告。公告包括某轮是用于测试还是用于密钥生成。在选定的测试子集中，Alice和Bob公开态和完整测量结果，以获得观测统计量。剩余的轮次用于密钥生成。密钥生成轮次的公告可以包括点击或非点击结果、基选择或可能的信号态集合，具体取决于特定协议。

4. 密钥生成和隐私放大

对于密钥生成轮次，Alice使用密钥映射函数将寄存器（对于）映射为原始密钥寄存器，其中分别表示相应寄存器的字母表。该函数根据之前的经典公告实现密钥映射和信号筛选。筛选后的信号，以标记表示，从最终密钥中移除，可以包括真空检测、不确定测量，或根据协议类型可能更多。对于计算密钥速率的目的，我们记通过筛选的信号数量为。两方然后执行纠错，泄露部分比特信息，然后对他们的原始密钥应用二普适哈希函数以生成共同的密钥。

B. BB84硬件

BB84、NPAB BB84和SARG04可以使用相同的物理硬件实现，以及相同的信号制备（除不同的源设置和基选择外）和测量阶段。我们现在解释Alice和Bob可以自由更改的设置和参数。

（1）信号制备。Alice可以在协议开始前选择相位随机化WCP的强度，这固定了协议中所有轮次的强度。对于每一轮（对于密钥生成轮次和测试轮次），她以概率决定在基中编码。在基中，她以等概率随机选择编码。由于Alice制备发送态，她可以选择引入某个旋转角度，使发送的基态相对于两个规范基产生不对准。

（2）测量阶段。Bob有一个主动探测设置。他以与Alice选择基编码相同的概率在基中进行测量。虽然这是一个选择，但它最大化了双方基匹配的概率。

（3）公告和测试阶段。对于测试轮次，Alice和Bob公开编码和测量结果。对于密钥生成轮次，不同协议有不同的公告结构，我们将在下一节中解释。我们使用偏振编码。虽然我们选择了这种特定编码，但我们不预期以下分析对于使用其他非正交态（如）或其他自由度（如时间分束编码）进行编码时会有重大变化。

C. 具体协议

我们现在在本节中描述BB84、NPAB BB84和SARG04协议的详细情况（简洁摘要见表I）。

表I. 本工作中考虑的三种协议的摘要。

| | BB84 | NPAB BB84 | SARG04 |
|---|---|---|---|
| 后处理映射 | 双重点击，取决于基 | 双重点击，取决于基 | |
| 测试轮次 | 公开测量结果的完整细节 | 公开测量结果的完整细节 | |
| 密钥生成轮次公告 | Alice公告基选择字符串。Bob公告基选择字符串和非点击结果。 | Bob公告非点击结果。 | Alice公告非正交对。Bob公告"确定"与"不确定"。 |
| Alice的密钥映射 | | | |
| Bob的测量映射 | | | |

a 将双重点击映射到该基内的一个结果是压缩模型的前提条件。更多详情请参见第三节和文献[13]。

b 更多详情请参见第II C 3节和文献[8]。

1. BB84协议

在BB84协议中，Alice随机决定以概率和概率发送编码在（基）或（基）偏振中的比特。实际上，她从集合（偏振编码的相位随机化WCP）中以概率选择信号态。信号态选择存储在字符串中。她还从生成一个字符串以存储基选择。这些由字符串生成的态通过不安全但经过身份认证的量子信道发送。Bob以概率使用基（基）测量测量传入态。具体而言，他将双重点击结果映射到当前测量基中的一个可能的单点击结果。Bob将基选择存储在字符串中，将测量结果存储在字符串中。在所有信号测量完成后，Alice和Bob公开所有测试轮次中的信息。对于密钥生成轮次，Alice公开基编码，Bob公开测量基。Bob侧还有额外公告以告知Alice非点击结果。Alice在剩余的比特上应用密钥映射，筛选掉基不匹配和非点击结果的轮次，获得原始密钥。

2. 无公开基选择公告（NPAB）BB84

NPAB BB84与常规BB84在公告和测试阶段有所不同，用于通过限制公开基公告来增强BB84抵御PNS攻击的能力。如果某一轮被决定用于测试，则Alice和Bob完全按照BB84协议进行；Alice的编码选择和Bob的测量结果被完全公开。在密钥生成轮次中，唯一进行的公告是Bob是否测量到点击或非点击结果（图1）。这允许Alice和Bob在密钥映射中筛选掉非点击结果。剩余步骤与BB84情况相同，以提取密钥。该协议与先前减少公开公告的BB84变体[9–12]的不同之处在于，不需要双方提前共享秘密信息。

图1. 在NPAB BB84中，唯一的筛选是Bob公告非点击/点击。

3. SARG04

SARG04同样在经典公告阶段与常规BB84有所不同[8]。在量子通信轮次中，Alice仍然以等概率发送。她不再公告偏振编码基，而是随机选择两个与不处于正交关系的状态中的一个。我们称这个新状态为。然后她公开集合。如果Bob测量到与（或）正交的状态，他可以推断正确的信号是（或）。否则，他丢弃该轮次。例如，在某一特定轮次中，Alice发送一个态。在公告阶段，她可以公开对。如果Bob测量的结果偏振为，他可以排除态，推断Alice发送了态，该轮次被保留用于密钥生成。否则，他丢弃该轮次。他也丢弃非点击结果。Bob随后对被保留（被丢弃）的轮次公告标签"确定"（"不确定"），而不公开测量结果的细节。对于密钥映射，Alice将映射为密钥比特0，将映射为密钥比特1。

III. 方法

在本节中，我们描述用于数值计算密钥速率的基本方法。全部细节在附录A中描述。

为了数值表示Bob的测量，我们使用一个后处理映射，将双重点击结果随机分配到Bob侧的一个结果上。

这一随机比特分配是证明活检测器存在压塌映射所必需的[13]。在此之后，我们应用一个压塌映射，使我们能够考虑一个等效的QKD协议，其中Bob先前无限维的测量被缩减为三维（量子比特加损耗）测量。基于此，渐近的独立同分布（i.i.d.）密钥速率公式[[14]，公式(50)–(54)]可以作为优化问题进行数值计算，

(1)

(2)

其中是约束信道行为的预定可行集，是量子相对熵，和是建模测量、筛选和密钥映射的映射，是带权重的经典纠错代价。

当我们考虑有限尺寸效应时，协议的总安全性分解为若干项，，其中是误差验证、隐私放大和接受测试的安全参数。利用后选择安全证明技术，可以证明密钥长度在下式意义下对一致性攻击具有下界([15]，[16]的公式(49)取)

(3)

其中是信号总数，是筛选后存活的信号数，是观测值生成的约束集，是Rényi熵参数。一个信号是否能通过筛选（因此概率由Alice和Bob的观测统计和经典公告决定。测试轮次用于估算原始密钥的误差率，并用于计算每个发送信号的平均渐近纠错代价。

5

IV. 结果

我们概述数值结果。我们使用openqkdsecurity软件包[17]来模拟信道并计算密钥速率。我们的发现总结如下：

(1) 公告具有显著影响。我们表明，不同的公告结构可以显著改变使用相同硬件的QKD协议的性能，并且在有限尺寸区间也能从更高光子（）态中提取密钥。

(2) 错位。Alice和Bob的设备完全对齐的情况并不是NPAB BB84的最优情况。换言之，当我们故意将Alice和Bob的设备错位某个角度，以最大化比特匹配的概率而非态匹配的概率时，密钥速率性能更好。

(3) 多光子贡献。对于NPAB BB84和SARG04，数值证明技术使我们能够从中提取秘密信息，而在BB84中这些通常被认为是不安全的。我们表明，允许Alice和Bob从双光子和三光子信号中蒸馏密钥比特确实能改善密钥速率，扩展了文献[8,18]中的现有结果。

(4) 信道参数鲁棒性。我们表明三种协议在不同区间各自展现出优势。我们考虑了损耗、错位和退极化信道的渐近和有限密钥速率。在表II中，我们列出了模拟中设置的参数，并注明该参数是否针对给定信道设置进行了优化。注意，我们此处不指定信道参数。我们引入一个新参数，标记模拟中的光子数截断，其中我们假设包含超过个光子的所有光脉冲完全泄露给对手。详见第IVB节。

表II. 第IV节中的作图参数。

参数 符号 值

平均光子数 所有图中全局优化。?

光子数截断 图4中扫描。其余固定（包含3）。

信道错位角 图3、13和14中扫描。BB84和SARG04其余固定为。NPAB BB84其余固定为。

信道损耗 图5、8、9、10及关联图中扫描。图4中固定；其余固定为。

信道可见度角 图7、11和12中扫描。其余固定为。

基概率 BB84和NPAB BB84固定为。SARG04固定为。

测试概率 固定为。?

安全参数 固定为。

纠错效率 渐近图中固定为；有限尺寸图中固定为。

Rényi参数 固定为。?

? 使用matlab中的fminbnd子程序进行优化。前一个模拟点的最佳值用作当前点优化的起始值，因为最优值在小的参数范围内变化不大。然而，内置的全局优化在高损耗区域会导致数值不稳定以及强度的最优选择问题。我们认为非光滑行为来源于全局优化例程的精度有限。

? 当发送大量信号时，只需要较小比例的信号来估算相关量。虽然当趋于无穷时最优值趋于零，但我们发现固定为0.15在本工作考虑的所有区间都表现良好。

? 此处，表示通过筛选的轮次数，表示Alice寄存器维度，。见文献[14]。

A. NPAB BB84的错位角

QKD协议实现中一个可能的误差来源是量子信道中的物理错位。在BB84或任何具有基公告的协议中，最优角度为，因为任何非平凡角度都会引入区分编码密钥比特的误差。在BB84的情况下，基筛选有助于区分编码密钥比特。基筛选后，正确匹配比特的概率就是测量到两个正交态中恰当那一个的概率。与标准BB84不同，NPAB BB84不进行基筛选，因此性能可以通过最小化所有信号检测中的纠错代价来提高，即通过优化所有基中比特匹配的概率来提升性能，考虑到偏振编码和都映射为比特"0"，而映射为比特"1"。这可以通过Alice故意旋转其制备的态某个角度来实现，因此可以视为协议的一部分。我们在附录E中给出了量子比特情况的详细计算。对于光子情况，我们扫描了数值参数，发现最优与量子比特情况非常吻合（见图3中非零时的密钥速率增加）。我们将量子比特和光子情况之间最优角度的差异归因于优化例程还试图最小化其他参数，如双点击结果，其概率随错位角略有增加。在本工作其余部分，NPAB BB84的结果将以固定但非零的错位角进行模拟（意味着扫描错位角是对额外的扫描），其值取自图3，用于提升协议性能。我们的理由是错位最小化了纠错代价（见附录E），而纠错代价与损耗、平均光子数以及Alice和Bob丢弃无点击事件后发送的信号数无关。为了将此故意的信道错位视为协议的一部分，这可以等效地建模为Alice通过源映射论证制备错位态（示意图见图2）。源映射论证使我们能够在不位错情况下制备信号态而由Eve执行旋转的情形下证明安全性，从而简化了分析[19]。在渐近和有限尺寸区间中，NPAB BB84对物理错位更具鲁棒性，并在有限尺寸区间中能够优于BB84和SARG04（图3、13和14）。

图2. 优化的NPAB BB84协议态相对于基发生了偏移。

图3. 在10 dB信道损耗下引入检测器间物理错位角、在极限中BB84、SARG04和NPAB BB84的性能。信号强度经过优化。注意NPAB BB84的绝对错位角在本图中从0开始。

B. 多光子信号的包含

对于NPAB和SARG04，由于基不被公告，多光子信号对密钥速率有贡献，我们可以选择将这些信号纳入分析。光子数大于3的信号对密钥速率的贡献很小（图4）。我们进一步扫描了其他参数区间，观察到相同的趋势。直观地，这是因为高光子数的非正交态重叠更少，使Eve能够以更高的成功概率无歧义地分辨它们。由于从增加到带来的密钥速率提升相对较小，且增大时需要计算密钥速率所需的计算机资源大幅增加，我们在NPAB和SARG04的密钥速率计算中包含到光子数的贡献，并对剩余信号进行标记。数学细节见附录A2。

图4. 密钥速率与用于密钥计算的每个脉冲中使用的光子数（光子截断）的关系。协议在渐近极限下以5 dB量子信道损耗模拟，并对相位随机化WCP的强度（平均光子数）进行了优化。

C. 渐近密钥速率

本节中，我们使用文献[20]的框架（见附录A5、A7a）探索BB84、SARG04和NPAB BB84在渐近区间中的性能，在此框架下我们假设Alice发送无限多信号，从而可以对信道统计量进行精确界估计。

我们首先研究纯损耗信道的性能。我们发现SARG04对高损耗更具鲁棒性，在该区间能实现更高的密钥速率。这些结果与此前对SARG04和BB84的解析研究一致[21]。然而，注意到先前的工作分析中仅包含两光子截断，而我们的工作可以包含任意数量的光子。此外，NPAB BB84相对于另外两种协议并未显示出优势（图5）。SARG04的公告结构允许更高的信号强度和平均光子数，在0到35 dB之间（图6）。注意BB84和NPAB BB84的密钥速率按量级缩放，这与文献中已知结果一致。类似地，SARG04的密钥速率按量级缩放[18]。我们进一步指出，这仍然是次线性的，与按量级缩放的诱骗态BB84形成对比。我们还强调图5和6中SARG04在约7 dB附近的行为变化，此前已在10 dB处观察到[8]。我们将差异归因于我们在每一点都优化了信号强度。

图5. 在纯损耗信道中渐近极限（发送总信号数）下各协议的每个信号密钥速率。信号强度经过优化。单位：dB。

图6. 渐近密钥速率下纯损耗信道中最优脉冲强度（平均光子数）与损耗（dB）的关系。

接下来，我们在信道中引入退极化误差（见附录A7c）。由于其公告结构，SARG04的优势随着误差增加迅速消失。这也与此前表明SARG04对退极化误差不鲁棒的结果一致[21]。同样，NPAB BB84相比BB84未显示出显著优势，但其表现优于SARG04（图7）。

图7. 具有退极化噪声和固定10 dB损耗的量子信道中，渐近极限下各协议的每个信号密钥速率。

D. 有限尺寸密钥速率

我们重复上一节的调查，同时引入有限尺寸效应（见附录A6）。我们具体调查了总信号数分别对应于1000秒、1秒和1毫秒（时钟频率为1 GHz），分别代表当前和近期未来技术能力[22]。与之前一样，我们首先研究协议在纯损耗信道中的行为。与渐近公式的情况类似，在纯损耗协议实现中，总信号数为时，SARG04对损耗的鲁棒性明显更强，三种协议之间的相对标度关系相似（图8）。将总信号数限制为和引入了更为显著的有限尺寸效应。我们观察到总体行为与渐近情况相似，SARG04在高损耗下性能更强。由于有限尺寸效应，预期密钥速率衰减更快（图9和10）。与表现为接近渐近极限的信号数相比，密钥速率不能承受如此大的损耗，协议在15到20 dB以上无法产生密钥速率。

图8. 发送总信号数时纯损耗量子信道中各协议的每个信号密钥速率。信号强度经过优化。

图9.

在仅有损耗的量子信道中，发送N个信号的协议的每信号密钥生成速率。信号强度已优化。

图10. 在仅有损耗的量子信道中，发送N个信号的协议的每信号密钥生成速率。信号强度已优化。

在信道中引入对准偏差和去极化噪声，在渐近极限下会导致与之前类似的行为。我们观察到BB84和NPAB BB84表现相似（见图13和14）。随着发送信号数量的减少，最优对准偏差角向零偏移。由于纠错开销不随发送信号数量变化，我们将此差异归因于优化集合中的有限尺寸效应。SARG04更容易受到去极化误差的影响，而BB84和NPAB BB84在存在误差时能实现更高的密钥速率（图11和12）。我们没有给出N?情况下的对准偏差和去极化噪声的计算结果，因为大多数密钥速率趋于零。

图11. 在具有去极化噪声和固定10 dB损耗的量子信道中，发送N?个信号的协议的每信号密钥生成速率。

图12. 在具有去极化噪声和固定10 dB损耗的量子信道中，发送N?个信号的协议的每信号密钥生成速率。

V. 结论

我们采用数值安全分析方法，对三种量子密钥分发协议——即BB84、NPAB BB84和SARG04——的性能进行了表征，其均采用相位随机化弱相 coherent 脉冲（WCP）实现方案，未使用诱骗态方法。总体而言，在没有诱骗态的情况下，当存在可观的损耗和噪声时，BB84的鲁棒性仍然优于NPAB BB84和SARG04。我们还表明，当考虑物理对准偏差时，NPAB BB84优于其他协议；而在高损耗但无噪声的信道中，SARG04可以生成更多的秘密密钥。

其他值得关注的研究方向包括：比较更多种类和更复杂的公布结构，以充分发挥每个协议的独特优势，以及改变物理协议设置方案。